L’autorité néerlandaise de protection des données, en coopération avec la CNIL, a infligé à Uber une amende de près de 825 millions d’euros pour avoir laissé ses algorithmes décider seuls du sort de ses chauffeurs. Une sanction rendue publique le 14 octobre 2026, qui clôt une procédure ouverte depuis 2020 et qui rappelle que les décisions automatisées, de plus en plus répandues dans l’économie numérique, restent strictement encadrées par le RGPD.
Une procédure vieille de cinq ans
Tout part d’une plainte collective déposée en 2020 par la Ligue des droits de l’Homme, au nom de plus de 170 chauffeurs utilisant la plateforme Uber. L’affaire, instruite conjointement par la CNIL et l’autorité néerlandaise (Uber ayant son siège européen aux Pays-Bas), a déjà donné lieu à deux sanctions : 10 millions d’euros en décembre 2023 pour défaut d’information des chauffeurs, puis 290 millions d’euros en juillet 2024 pour des transferts de données hors de l’Union européenne. La troisième sanction, la plus lourde des trois, porte spécifiquement sur l’article 22 du RGPD, qui encadre les décisions individuelles automatisées.
Ce que les régulateurs reprochent précisément à Uber
Les autorités ont jugé que la désactivation de comptes chauffeurs, qu’elle soit temporaire en cas de suspicion de fraude ou temporaire et définitive en cas de mauvaises notes clients, constituait une décision individuelle automatisée au sens du RGPD, faute d’une intervention humaine réelle dans le processus. Concrètement :
- Les comptes pouvaient être suspendus sans qu’un salarié n’examine réellement le dossier
- Les chauffeurs n’avaient pas toujours de moyen simple de contester la décision
- L’absence de supervision humaine effective transforme un simple contrôle qualité en décision automatisée encadrée par la loi
Pour les plateformes numériques, la distinction est cruciale : un algorithme peut trier, alerter ou recommander, mais dès qu’il produit seul un effet juridique ou significatif sur une personne, sans réexamen humain réel, il tombe sous le régime protecteur de l’article 22. C’est un rappel qui dépasse largement le cas d’Uber, à l’heure où de plus en plus d’entreprises automatisent leurs processus de gestion administrative et de ressources humaines.
Une vigilance qui s’étend à tous les traitements de données
Cette sanction s’inscrit dans un mouvement plus large de surveillance des traitements de données personnelles par les agences de l’État et autorités administratives indépendantes. Les particuliers, de leur côté, sont de plus en plus nombreux à vouloir reprendre le contrôle de leurs informations en ligne, comme le montre le développement de services de suppression de données personnelles. Le sujet rejoint aussi les obligations de sécurité désormais imposées aux objets connectés par le Cyber Resilience Act, et les alertes déjà documentées sur ce site à propos du piratage ayant touché l’Anssi : la protection des données, qu’elle vienne d’une faille ou d’un algorithme mal encadré, est devenue un sujet de sécurité à part entière.
Uber dispose de voies de recours contre cette décision. L’entreprise devra toutefois revoir ses procédures de désactivation de comptes pour garantir une intervention humaine réelle, sous peine de nouvelles sanctions.
Questions fréquentes
Pourquoi la CNIL et l’autorité néerlandaise agissent-elles ensemble sur ce dossier ?
Le siège européen d’Uber se trouvant aux Pays-Bas, c’est l’autorité néerlandaise qui a rendu la décision, mais la CNIL a instruit le dossier en coopération avec elle dans le cadre du mécanisme de guichet unique prévu par le RGPD pour les entreprises opérant dans plusieurs pays européens.
Qu’est-ce qu’une « décision individuelle automatisée » au sens du RGPD ?
C’est une décision produisant des effets juridiques ou significatifs sur une personne, prise uniquement par un traitement automatisé, sans intervention humaine réelle. L’article 22 du RGPD impose un encadrement strict de ce type de décision, notamment un droit de contestation.
Est-ce la première sanction visant Uber dans ce dossier ?
Non, il s’agit de la troisième sanction de cette même procédure, ouverte en 2020 : 10 millions d’euros en 2023 pour défaut d’information, 290 millions d’euros en 2024 pour des transferts de données hors de l’Union européenne, et désormais 825 millions d’euros pour les décisions automatisées.
Sources
- CNIL — Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’Uber
- L’Usine Digitale — Uber écope d’une amende de 825 millions d’euros
- Leto Legal — Uber sanctionné 825 M€ par la CNIL et l’autorité néerlandaise (Art. 22 RGPD)
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale